Controllo dell'accesso ai blocchi note gestiti
Questa pagina descrive come utilizzare Identity and Access Management (IAM) e una modalità di accesso per gestire l'accesso alle risorse dei notebook gestiti di Vertex AI Workbench. Per gestire l'accesso alle risorse di Vertex AI, consulta la pagina di Vertex AI sul controllo dell'accesso.
Vertex AI Workbench utilizza IAM per gestire l'accesso alle istanze di notebook gestite e una modalità di accesso per gestire l'accesso all'interfaccia JupyterLab di ogni istanza.
Controllare l'accesso a un'istanza con IAM
Puoi gestire l'accesso a un'istanza di Notebooks gestita a livello di progetto o per istanza.
- Per concedere l'accesso alle risorse a livello di progetto, assegna uno o più ruoli a un'entità (utente, gruppo o account di servizio).
- Per concedere l'accesso a un'istanza specifica, imposta un criterio IAM su quella risorsa. Il criterio definisce i ruoli assegnati alle entità. Per scoprire di più, consulta Gestire l'accesso a un'istanza di Notebooks gestita.
L'accesso a un'istanza può includere una vasta gamma di funzionalità. Ad esempio, potresti concedere a un principale la possibilità di avviare, interrompere e eseguire l'upgrade di un'istanza. Tuttavia, anche se concedi a un principale l'accesso completo a un'istanza di blocchi note gestita, non gli viene concessa la possibilità di utilizzare l'interfaccia JupyterLab dell'istanza. Consulta la sezione che segue.
Controllare l'accesso all'interfaccia JupyterLab di un'istanza con la modalità di accesso
Controlli l'accesso all'interfaccia JupyterLab di un'istanza di notebook gestita tramite la modalità di accesso dell'istanza. Imposti una modalità di accesso a JupyterLab quando crei un'istanza di blocco note gestita. La modalità di accesso non può essere modificata dopo la creazione del blocco note.
La modalità di accesso a JupyterLab determina chi può utilizzare l'interfaccia JupyterLab dell'istanza. La modalità di accesso determina anche le credenziali utilizzate quando la tua istanza interagisce con altri servizi Google Cloud. Per saperne di più, consulta Gestire l'accesso all'interfaccia JupyterLab di un'istanza di notebook gestita.
Tipi di ruoli IAM
Esistono diversi tipi di ruoli IAM che possono essere utilizzati in Vertex AI Workbench:
I ruoli predefiniti ti consentono di concedere un insieme di autorizzazioni correlate alle risorse di Vertex AI Workbench a livello di progetto.
I ruoli di base (Proprietario, Editor e Visualizzatore) forniscono il controllo dell'accesso alle risorse di Vertex AI Workbench a livello di progetto e sono comuni a tutti i servizi Google Cloud.
I ruoli personalizzati ti consentono di scegliere un insieme specifico di autorizzazioni, creare il tuo ruolo con queste autorizzazioni e concederlo agli utenti della tua organizzazione.
Per aggiungere, aggiornare o rimuovere questi ruoli nel progetto Vertex AI Workbench, consulta la documentazione sulla gestione dell'accesso a progetti, cartelle e organizzazioni.
Ruoli predefiniti per Vertex AI Workbench
Le risorse di Vertex AI Workbench vengono gestite tramite l'API Notebooks. Pertanto, i ruoli Notebooks definiscono le autorizzazioni e l'accesso all'utilizzo di Vertex AI Workbench.
| Role | Permissions |
|---|---|
Notebooks Admin( Full access to Notebooks, all resources. Lowest-level resources where you can grant this role:
|
|
Notebooks Legacy Admin( Full access to Notebooks all resources through compute API. |
|
Notebooks Legacy Viewer( Read-only access to Notebooks all resources through compute API. |
|
Notebooks Runner( Restricted access for running scheduled Notebooks. |
|
Notebooks Viewer( Read-only access to Notebooks, all resources. Lowest-level resources where you can grant this role:
|
|
Ruoli di base
I ruoli di base di Google Cloud precedenti sono comuni a tutti i servizi Google Cloud. Questi ruoli sono Proprietario, Editor e Visualizzatore.
I ruoli di base forniscono autorizzazioni in Google Cloud, non solo per Vertex AI Workbench. Per questo motivo, devi utilizzare i ruoli di Vertex AI Workbench, se possibile.
Ruoli personalizzati
Se i ruoli IAM predefiniti per Vertex AI Workbench non soddisfano le tue esigenze, puoi definire ruoli personalizzati. I ruoli personalizzati ti consentono di scegliere un insieme specifico di autorizzazioni, creare il tuo ruolo con queste autorizzazioni e concederlo agli utenti della tua organizzazione. Per ulteriori informazioni, consulta Informazioni sui ruoli IAM personalizzati.
Accesso a livello di progetto e criteri a livello di risorsa
Una risorsa eredita tutti i criteri dalla sua
ascendenza.
Un criterio impostato a livello di risorsa non influisce sui criteri a livello di progetto. Puoi utilizzare i criteri di accesso e
a livello di risorsa a livello di progetto per personalizzare le autorizzazioni.
Ad esempio, puoi concedere agli utenti autorizzazioni roles/notebooks.viewer
a livello di progetto in modo che possano visualizzare tutte
le risorse di Vertex AI Workbench nel progetto,
e poi concedere a ogni utente autorizzazioni roles/notebooks.viewer
su una specifica istanza di notebook gestiti in modo che
abbiano tutte le funzionalità admin per amministrare l'istanza.roles/notebooks.admin
Non tutti i ruoli e le risorse predefiniti di Vertex AI Workbench supportano i criteri a livello di risorsa. Per sapere quali ruoli possono essere utilizzati su quali risorse, visualizza le descrizioni di ciascun ruolo.
La propagazione delle modifiche alla possibilità di accedere a una risorsa richiede tempo. Per scoprire di più, consulta Propagazione della modifica di accesso.
Informazioni sugli account di servizio
Un account di servizio è un account speciale utilizzato da un'applicazione o da un'istanza di macchina virtuale (VM), non da una persona. Puoi creare e assegnare autorizzazioni agli account di servizio per concedere autorizzazioni specifiche a una risorsa o un'applicazione.
In un'istanza di notebook gestita, se il notebook esegue codice che interagisce con Vertex AI o altri servizi Google Cloud, puoi utilizzare un account di servizio con ruoli IAM specifici per autenticare l'istanza di notebook gestita a questi servizi.
Gli account di servizio sono identificati da un indirizzo email.
Passaggi successivi
Concedere a un principale l'accesso a un'istanza di notebook gestita.
Scopri come creare e gestire ruoli IAM personalizzati.